Momeala

Originea

În 217 î.Hr., Hannibal se afla prins în câmpia Falernului, cu armata lui Fabius Maximus ocupând singura trecătoare prin care putea ieși. Noaptea, a pus să se lege torțe aprinse de coarnele a două mii de boi și i-a mânat pe dealuri. Romanii de pe înălțimi au văzut ce păreau mii de soldați înaintând cu torțe spre o altă trecătoare, și-au părăsit poziția ca să o apere, iar Hannibal a trecut nestingherit prin cea rămasă liberă. Înșelarea era, în război, o armă a atacatorului. Apărătorul avea nevoie de aproape două mii de ani ca să o întoarcă în favoarea lui.

În 1930, firma americană de cartografie General Drafting a desenat pe harta statului New York un sat care nu exista, Agloe. Numele era un anagram al inițialelor proprietarilor, iar scopul era simplu — dacă o hartă concurentă avea să conțină Agloe, era dovada copierii. Când Rand McNally a publicat, ani mai târziu, o hartă cu Agloe pe ea, General Drafting a cerut socoteală. Tehnica, „străzile-capcană” și „orașele de hârtie”, a fost folosită de cartografi, de editorii de dicționare (enciclopedia New Columbia din 1975 conținea o fotografă inexistentă, Lillian Virginia Mountweazel) și de compilatorii de liste de adrese. O intrare falsă, unică, pe care doar cine copiază o poate avea. Nu împiedică furtul. Îl dovedește.

Apoi, în 1986, astronomul Clifford Stoll, administrator de sistem la laboratorul Lawrence Berkeley, a observat o diferență de 75 de cenți în contabilitatea timpului de calculator. Urmărind-o, a descoperit un intrus care folosea sistemele laboratorului ca punte spre rețele militare. Pentru a-l ține conectat suficient de mult încât apelul să poată fi urmărit, Stoll a inventat un proiect inexistent, „SDINET”, cu dosare întregi de documente false și atrăgătoare despre Inițiativa de Apărare Strategică. Intrusul a petrecut ore citindu-le. Urmărirea a dus la Markus Hess, în Hanovra, care vindea informații KGB-ului. Cartea lui Stoll, The Cuckoo’s Egg, a fost prima descriere publică a ceea ce azi se numește honeypot, borcanul cu miere.

Surse: Polibiu, Istorii, III, 93–94, pentru stratagema lui Hannibal; Mark Monmonier, How to Lie with Maps (1991), pentru străzile-capcană; Clifford Stoll, The Cuckoo's Egg (1989).

Principiul

Toate sistemele de detecție obișnuite au aceeași problemă. Trebuie să distingă activitatea legitimă de cea malițioasă într-un ocean de activitate legitimă, iar rezultatul sunt alarme false, oboseală și, în cele din urmă, ignorarea alarmelor.

Momeala ocolește problema prin construcție. Un obiect pe care nimeni nu are motiv legitim să-l atingă produce alerte cu un grad foarte ridicat de încredere. Orice interacțiune cu el este, aproape prin definiție, suspectă — rămân doar accidentele, cum ar fi angajatul curios, iar acestea se verifică într-un minut. Prima atingere este un indicator care cere investigație imediată, nu dovada certă a unei intruziuni; diferența față de alertele obișnuite este că aici investigația merită aproape întotdeauna efortul. Nu e nevoie de analiză, de euristici, de învățare automată, ci doar de un obiect atrăgător și de un fir care sună când este atins.

Momeala ia trei forme. Momeala-obiect, honeytoken, este un fișier, o înregistrare, un cont sau o cheie care nu are nicio funcție, dar arată valoros — „parole_directori.xlsx”, un client inexistent în baza de date, un cont de administrator pe care nu-l folosește nimeni. Momeala-sistem, honeypot, este un server fals, cu porturi deschise și servicii aparent vulnerabile, care nu face nimic decât să înregistreze cine încearcă să intre. Iar momeala-marcaj, strada-capcană, este o intrare unică plasată în fiecare copie a unui set de date, care identifică de unde a plecat o scurgere.

Amenințarea de azi

Timpul mediu între intrarea unui atacator într-o rețea și descoperirea lui s-a măsurat, ani la rând, în luni. Atacatorii de ransomware petrec zile sau săptămâni explorând rețeaua, căutând copiile de rezervă (fișa 5), parolele salvate, serverele de fișiere. În toată această perioadă, firma nu știe nimic. Fiecare zi de nedetectare înseamnă mai multe date exfiltrate și mai puține copii de rezervă rămase.

Un atacator care explorează o rețea face exact ceea ce a făcut Markus Hess. Deschide dosare, caută fișiere cu nume interesante, încearcă parole pe servere. Dacă, printre dosarele reale, există câteva false, cu fir, atacatorul va deschide unul în primele ore, nu pentru că este neglijent, ci pentru că nu are cum să știe care este fals.

A doua problemă este scurgerea de date. Lista de clienți ajunge la concurență, baza de date a unui furnizor apare pe un forum. Întrebarea „de unde a plecat?” este, de obicei, fără răspuns, pentru că toate copiile sunt identice. Strada-capcană răspunde. Dacă fiecare copie trimisă unui partener conține un client fictiv diferit, cu o adresă de e-mail unică, primul mesaj primit pe acea adresă spune exact care partener a pierdut lista.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Serviciul Canarytokens (canarytokens.org, gratuit, oferit de o firmă de securitate) generează documente Word, PDF și Excel care trimit o alertă pe e-mail în momentul în care sunt deschise, oriunde în lume — cu o rezervă: alerta depinde de aplicația care deschide fișierul, iar unele cititoare de PDF sau previzualizări nu o declanșează, deci testați fiecare momeală cu programele folosite în firmă înainte de a vă baza pe ea. Puneți trei-patru astfel de fișiere, cu nume atrăgătoare, în dosarele partajate, „Salarii 2026.xlsx”, „Parole servere.docx”, „Contract vânzare firmă.pdf”. Nimeni din firmă nu are motiv să le deschidă; spuneți-le oamenilor că există, fără să spuneți care sunt.

Creați un cont de utilizator fals în domeniu, cu nume plauzibil și parolă complexă, pe care nimeni nu-l folosește, și configurați o alertă la orice încercare de autentificare pe el — în Windows, printr-o regulă simplă pe jurnalul de securitate, sau prin instrumentul de monitorizare pe care îl aveți. În baza de date de clienți, adăugați două-trei intrări fictive, cu adrese de e-mail create special. Orice mesaj primit pe ele este dovada că lista a ieșit din firmă.

Firma de 500 de oameni

Momelile se distribuie sistematic — fișiere-capcană pe fiecare server de fișiere, conturi-capcană în fiecare domeniu, chei de acces false în depozitele de cod și în configurații, pentru că un atacator care găsește o cheie de cloud o va încerca în minute. Un honeypot intern, un server care imită un sistem interesant precum o consolă de backup sau un server de baze de date, se plasează în segmentele unde atacatorul ar ajunge după primul compromis, iar orice conexiune la el este un incident de prioritate maximă.

Seturile de date trimise partenerilor și furnizorilor se marchează cu înregistrări unice per destinatar, documentat în contract. Alertele de pe momeli ocolesc fluxul obișnuit de triaj și ajung direct la echipa de răspuns, pentru că sunt rareori false și, când sunt, se lămuresc repede.

Unde eșuează

Momeala prea evidentă nu prinde pe nimeni. Un fișier numit „HONEYPOT – NU DESCHIDE” este decor; momeala trebuie să arate ca restul. Momeala uitată produce alerta falsă tipică a tehnicii — documentul-capcană din 2024 este deschis de noul angajat care face ordine în dosare, iar dacă se repetă, se pierde încrederea în alarme. Lista momelilor se ține la zi, în plicul sigilat din fișa 4.

Alerta pe care nu o citește nimeni este eșecul clasic, cu firul care sună într-o căsuță de e-mail pe care nu o verifică nimeni. Alerta trebuie să ajungă la o persoană, pe telefon, cu procedura din fișa 3 lângă ea. Atacatorul precaut, din grupurile sofisticate, știe că există momeli și le evită, dar chiar și pentru el momeala este utilă, pentru că îl încetinește și îl obligă la o prudență care produce alte urme.

Rămâne problema juridică. Un honeypot care atrage activ atacatori din exterior, de exemplu pe internet, ridică întrebări de drept penal și de protecția datelor celor care îl ating. Momelile interne, pe sistemele proprii, nu au această problemă; cele externe cer consultarea unui jurist.

Cadrul legal

Art. 21 alin. (2) lit. (b) din Directiva NIS2 cere gestionarea incidentelor, ceea ce presupune detectarea lor; art. 23 impune termene de notificare care curg de la momentul în care entitatea „ia cunoștință” de incident, iar fără detecție termenele nu pot fi respectate. Sub GDPR, art. 33 cere notificarea în 72 de ore de la luarea la cunoștință, iar art. 32 cere capacitatea de a evalua periodic eficacitatea măsurilor; un atacator care circulă nedetectat luni de zile este o dovadă de ineficacitate. În ISO/IEC 27001:2022, controlul A.8.16 (activități de monitorizare) cere detectarea comportamentului anormal, iar A.5.24–A.5.26 gestionarea și evaluarea evenimentelor de securitate.